Cómo comprobar si un Mac tiene adware o malware
Los virus de verdad son raros en el Mac. Lo que la gente sí se encuentra es adware: un navegador que no deja de abrir una página de búsqueda extraña, ventanas emergentes, un «limpiador» que nadie instaló. Suele llegar con una descarga y vuelve a iniciarse cada vez que inicias sesión.
En resumen: mira lo que se inicia solo. Revisa Ajustes del Sistema › General › Ítems de inicio y extensiones, y luego las carpetas ~/Library/LaunchAgents, /Library/LaunchAgents y /Library/LaunchDaemons. El adware se esconde ahí con nombres aleatorios o que imitan a los de Apple. Después revisa las extensiones del navegador y los perfiles de configuración. XProtect, de macOS, ya bloquea los archivos de malware conocidos.
¿Dónde se esconde el adware en el Mac?
- Agentes y daemons de launchd: pequeños archivos
.plistque le dicen a macOS que inicie un programa al iniciar sesión o al arrancar. Los tuyos están en~/Library/LaunchAgents; los de todo el Mac, en/Library/LaunchAgentsy/Library/LaunchDaemons. - Aplicaciones: una app que no recuerdas haber instalado, a menudo con un nombre genérico.
- Extensiones del navegador: Safari › Ajustes › Extensiones, y la página de extensiones de cada uno de los otros navegadores.
- Perfiles de configuración: Ajustes del Sistema › General › Gestión de dispositivos. En un Mac que nadie gestiona por ti, esta lista suele estar vacía.
¿Cómo veo los agentes de launchd en Terminal?
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemonsPara cualquier archivo que no reconozcas, mira qué programa inicia y luego quién firmó ese programa:
plutil -p ~/Library/LaunchAgents/com.example.helper.plist
codesign -dv --verbose=2 "/path/to/the/program"La línea Program o ProgramArguments es el programa. En la salida de codesign, las líneas Authority nombran al desarrollador; «code object is not signed at all» significa que nadie lo firmó.
¿Qué resulta sospechoso?
- Un programa que no firmó ningún desarrollador conocido y que ninguna app instalada reclama.
- Un programa en una carpeta oculta, en
/tmpo en/Users/Shared, donde cualquier usuario puede escribir. - Un nombre que parece aleatorio, como
com.xkqzt.plist. - Un nombre
com.appleen un programa que Apple no firmó.
Cada uno de estos es un motivo para mirar más de cerca, no una prueba: los ayudantes de desarrolladores pequeños pueden tener el mismo aspecto. Busca el nombre antes de quitar nada.
¿Cómo quito el adware de un Mac?
- Cierra la app a la que pertenece, si la hay, y mueve la app a la Papelera.
- Mueve su
.plistde LaunchAgents o LaunchDaemons a la Papelera. Los de/Librarypiden una contraseña de administrador. - Mueve también a la Papelera el programa al que apuntaba el
.plist. - Reinicia, o cierra sesión y vuelve a iniciarla, para que deje de ejecutarse. Quita cualquier extensión del navegador y perfil que haya añadido.
¿Basta con XProtect o necesito un antivirus?
macOS revisa las descargas con Gatekeeper y la notarización, y XProtect bloquea y elimina el malware conocido con firmas que Apple actualiza por su cuenta. Eso cubre a la mayoría de la gente. Para ver tu versión de XProtect:
defaults read /Library/Apple/System/Library/CoreServices/XProtect.bundle/Contents/Info.plist CFBundleShortVersionStringEl adware a menudo se instala con tu permiso, como parte de otra cosa, así que sigue valiendo la pena revisar de vez en cuando lo que se inicia solo.